Get-WinEvent [-LogName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-Path] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ProviderName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent -FilterHashTable <Hashtable[]> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ListLog] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent [-ListProvider] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent -FilterXml <XmlDocument> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

C:\PS>get-winevent -listlog  *

Описание
-----------
Эта команда получает все журналы, имеющиеся на локальном компьютере.

Журналы указаны в порядке их получения командлетом Get-WinEvent. Как правило, сначала извлекаются классические журналы, а затем — новые журналы обработки событий Windows.

Поскольку обычно используется более сотни журналов событий, для этого параметра требуется имя журнала или шаблон имени. Чтобы получить все журналы, используйте значение *.

C:\PS>get-winevent -listlog Setup | format-list -property *


	FileSize					 : 69632
	IsLogFull					: False
	LastAccessTime				 : 2/14/2008 12:55:12 AM
	LastWriteTime				: 7/9/2008 3:12:05 AM
	OldestRecordNumber			 : 1
	RecordCount					: 3
	LogName						: Setup
	LogType						: Operational
	LogIsolation				 : Application
	IsEnabled					: True
	IsClassicLog				 : False
	SecurityDescriptor			 : O:BAG:SYD:(A;;0xf0007;;;SY)(A;
									 (A;;0x1;;;S-1-5-32-573)
	LogFilePath					: %SystemRoot%\System32\Winevt\L
	MaximumSizeInBytes			 : 1052672
	LogMode						: Circular
	OwningProviderName			 : Microsoft-Windows-Eventlog
	ProviderNames				: {Microsoft-Windows-WUSA, Micro
	ProviderLevel				:
	ProviderKeywords			 :
	ProviderBufferSize			 : 64
	ProviderMinimumNumberOfBuffers : 0
	ProviderMaximumNumberOfBuffers : 64
	ProviderLatency				: 1000
	ProviderControlGuid			:

Описание
-----------
Эти команды получают объект, представляющий классический системный журнал на локальном компьютере. Объект содержит сведения о журнале, в том числе: размер журнала, поставщик журнала событий и путь к файлу, а также индикатор того, включен ли журнал.

C:\PS>get-winevent -listlog * -computername Server01| where {$_.recordcount}

Описание
-----------
Эта команда извлекает только журналы событий на компьютере Server01, содержащие события. Многие журналы могут быть пустыми. 

Эта команда использует свойство RecordCount объекта EventLogConfiguration, возвращаемого командлетом Get-WinEvent при использовании параметра ListLog.

C:\PS>$s = "Server01", "Server02", "Server03"

C:\PS> foreach ($server in $s) 
	 {$server; get-winevent -listlog "Windows PowerShell" -computername $server}

Описание
-----------
В данном примере команда извлекает объекты, представляющие журналы событий Windows PowerShell на трех компьютерах: Server01, Server02 и Server03. В команде используется ключевой слово Foreach, так как параметр ComputerName принимает только одно значение.

Первая команда сохраняет имена компьютеров в переменной $s.

Во второй команде используется инструкция Foreach. Для каждого из компьютеров, указанных в переменной $s, выполняется команда в блоке скрипта (в фигурных скобках). Сначала команда выводит имя компьютера. Затем она выполняет команду Get-WinEvent для получения объекта, представляющего журнал Windows PowerShell.

C:\PS>get-winevent -listprovider *

Описание
-----------
Эта команда получает список поставщиков журналов событий на локальном компьютере и журналов, в которые они выполняют запись (если есть).

C:\PS>(get-winevent -listlog Application).providernames

Описание
-----------
Эта команда возвращает всех поставщиков, которые выполняют запись в журнал приложений на локальном компьютере.

C:\PS>>get-winevent -listprovider *policy*

Описание
-----------
Эта команда возвращает поставщиков журналов событий, имена которых содержат слово "policy".

C:\PS>(get-winevent -listprovider microsoft-windows-grouppolicy).events | format-table id, description -auto

Описание
-----------
Эта команда возвращает список идентификаторов событий, созданных поставщиком событий Microsoft-Windows-GroupPolicy, и соответствующих описаний событий.

В ней используется свойство Events объекта, возвращаемого командлетом Get-WinEvent при использовании параметра ListProvider, а также свойства ID и Description объекта в свойстве Events.

C:\PS>$events = get-winevent -logname "Windows PowerShell"

C:\PS> $events.count
195

C:\PS> $events | group-object id -noelement | sort-object count -desc
Count Name
----- ----
  147 600
   22 400
   21 601
	3 403
	2 103

 C:\PS> $events | group-object leveldisplayname -noelement
Count Name
----- ----
	2 Warning
  193 Information

Описание
-----------
В этом примере показано, как с помощью свойств объектов событий, возвращенных командлетом Get-WinEvent, получить сведения о событиях в журнале событий.

Первая команда с помощью командлета Get-WinEvent возвращает все события в журнале событий Windows PowerShell. После этого они сохраняются в переменной $events. Имя журнала заключено в кавычки, поскольку оно содержит пробел.

Вторая команда использует свойство Count коллекций объектов для определения количества записей в журнале событий. 

Третья команда отображает количество экземпляров каждого события в журнале, при этом сначала выводятся самые часто возникающие события. В данном примере чаще всего возникает событие с идентификатором 600.

Четвертая команда группирует элементы по значению свойства LevelDisplayName для отображения количества сообщений типа Error, Warning и Information в журнале.

C:\PS>get-winevent -logname *disk*, Microsoft-Windows-Kernel-WHEA

Описание
-----------
Эта команда извлекает события типа "Ошибка", имена которых содержат слово "disk", из всех журналов событий на компьютере, а также из журнала событий Microsoft-Windows-Kernel-WHEA.

C:\PS>get-winevent -path 'c:\ps-test\Windows PowerShell.evtx'

Описание
-----------
Эта команда получает события из копии файла журнала событий Windows PowerShell, находящейся в тестовом каталоге. Путь заключен в кавычки, поскольку имя журнала содержит пробел.

C:\PS>get-winevent -path 'c:\tracing\tracelog.etl' -maxevents 100 -oldest

C:\PS> get-winevent -path 'c:\tracing\tracelog.etl' -oldest | sort-object -property timecreated -desc | select-object -first 100

Описание
-----------
Эти команды извлекают первые 100 событий из файла журнала средства отслеживания событий для Windows (ETW).

Первая команда извлекает из журнала 100 самых ранних событий. С помощью командлета Get-WinEvent она получает события из файла Tracelog.etl. Параметр MaxEvents ограничивает количество извлекаемых событий до 100. События перечисляются в порядке их записи в журнал (от старых к новым), поэтому необходимо использовать параметр Oldest.

Вторая команда извлекает из журнала 100 последних событий. С помощью командлета Get-WinEvent она получает все события из файла Tracing.etl. Она передает
события командлету Sort-Object, который сортирует их в порядке убывания значений свойства TimeCreated. Затем упорядоченные события передаются командлету Select-Object для выбора 100 последних событий.

C:\PS>get-winevent -path "c:\tracing\tracelog.etl", "c:\Logs\Windows PowerShell.evtx" -oldest | where {$_.id -eq "103"}

Описание
-----------
В этом примере показано, как извлечь события из файла журнала отслеживания событий (ETL) и из копии файла журнала Windows PowerShell (EVTX), сохраненной в тестовом каталоге.

В одной команде можно использовать различные типы файлов. Поскольку файлы содержат объект .NET Framework одного типа (объект EventLogRecord), для их фильтрации можно использовать одни и те же свойства.

Обратите внимание, что в команде необходимо использовать свойство Oldest, потому что выполняется чтение из файла ETL, однако параметр Oldest применяется в отношении обоих файлов.

C:\PS># Use the Where-Object cmdlet
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -logname "Windows PowerShell" | where {$_.timecreated -ge $yesterday}


# Uses FilterHashTable
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -FilterHashTable @{LogName='Windows PowerShell'; Level=3; StartTime=$yesterday}


# Use FilterXML
C:\PS> get-winevent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]</Select></Query></QueryList>"


# Use FilterXPath
C:\PS> get-winevent -LogName "Windows Powershell" -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

Описание
-----------
В этом примере продемонстрированы различные методы фильтрации для выбора событий из журнала событий. Все эти команды извлекают из журнала событий Windows PowerShell события, произошедшие в течение последних 24 часов.

Фильтрация эффективнее использования командлета Where-Object, поскольку фильтры применяются во время извлечения объектов (вместо того чтобы сначала извлечь все объекты, а затем фильтровать их).

Поскольку даты неудобно задавать в форматах XML и XPath, для создания XML-содержимого дат используется функция фильтрации текущего журнала средства просмотра событий. Дополнительные сведения об этой возможности см. в справке средства просмотра событий.

C:\PS>$date = (get-date).AddDays(-2)

C:\PS> $events = get-winevent -FilterHashTable @{ logname = "Microsoft-Windows-Diagnostics-Performance/Operational"; StartTime = $date; ID = 100 }

Описание
-----------
В этом примере для получения событий из журнала производительности используется хэш-таблица фильтра. 

Первая команда с помощью командлета Get-Date и метода AddDays получает дату, на два дня предшествующую текущей дате. Дата сохраняется в переменной $date.

Вторая команда использует командлет Get-WinEvent с параметром FilterHashTable. Ключи хэш-таблицы определяют фильтр для выбора из журнала производительности событий с идентификатором события 100, которые произошли в течение последних двух дней. 

Ключ LogName задает журнал событий, ключ StartTime — дату, а ключ ID — идентификатор события.

C:\PS>$starttime = (get-date).adddays(-7)	

C:\PS> $ie-error = Get-WinEvent -FilterHashtable @{logname="application"; providername="Application Error"; data="iexplore.exe"; starttime=$starttime}

Описание
-----------
В этом примере хэш-таблица фильтра используется для поиска ошибок приложения Internet Explorer, произошедших в течение последней недели.

Первая команда получает дату, на семь дней предшествующую текущей дате, и сохраняет ее в переменной $starttime.

Вторая команда использует командлет Get-WinEvent с параметром FilterHashTable. Ключи хэш-таблицы определяют фильтр для выбора из журнала приложений событий, записанных поставщиком ошибок приложений и содержащих фразу "iexplore.exe".

Ключ LogName задает журнал событий. Ключ ProviderName задает поставщик событий, ключ StartTime — начальную дату событий, а ключ Data — текст в сообщении события.